개인정보 보호정책

본 개인정보 보호정책에 설명된 개인정보 처리와 관련하여 GDPR에 따른 데이터 컨트롤러는 다음과 같습니다.

Deutsche Lufthansa AG
Flughafen-Bereich West
60546 Frankfurt/Main

당사 웹사이트 또는 해당 웹사이트에서 제공되는 서비스 및 제품과 관련한 개인정보 보호에 관한 궁금한 사항은 당사의 개인정보 보호 책임자에게 문의해 주십시오.

Deutsche Lufthansa AG
Airportring
60546 Frankfurt
이메일: datenschutz@dlh.de

스위스 연방 데이터 보호법 제14조에 따라 스위스 내 당사의 대표 법인은 스위스 국제 항공(P.O. Box, Data Protection, ZRHS/CJ, CH-8058 Zurich Airport, Switzerland)입니다.

개인정보는 고객이 제공하거나 당사에서 수집하는 신원이 확인되었거나 확인 가능한 자연인에 관한 모든 정보를 말하며, 구체적인 예는 다음과 같습니다.

예약 정보: 당사를 통해 항공편 또는 항공편 관련 서비스를 예약하는 경우 고객이 입력한 내용 데이터 및 고객에 관하여 수집된 데이터(특히 이름, 연락처 정보, 생년월일 및 결제 데이터)와 당사가 고객에게 제공한 정보가 처리됩니다. 또한, 고객의 예약 시간, 범위 및 해당되는 경우 예약 장소에 대한 정보를 수집합니다. 경우에 따라 고객의 국적 및 상용 고객 프로그램과 관련하여 자발적으로 제공한 정보도 수집됩니다. 운송 서비스를 예약하는 경우, 당사는 필요한 휠체어에 관한 정보 등 민감한 정보를 간접적으로 드러낼 수 있는 운송 지원 사항에 관한 정보를 처리할 수 있습니다. 미성년자를 위해 예약하는 경우 법적 보호자의 연락처 정보도 수집됩니다.

체크인 데이터: 체크인 및 탑승 과정에서 당사는 승객의 예약 정보, 수하물 관련 정보, 보안 정보(예: 탑승 시간, 보안 검색 상태, 체크인 절차와 관련된 시간 기록), 해당하는 경우 입국 서류(여권, 비자 등)에 관한 데이터와 비상 연락처 등의 기타 연락처 정보를 처리합니다.

API 데이터: API(사전 승객 정보) 데이터에는 이름, 생년월일, 국적, 여권 번호, 성별 등 귀하의 여행 서류(예: 여권)에 기재된 정보가 포함됩니다.

PNR 데이터: 당사는 특정 항공편을 운항할 때 PNR(승객 이름 기록) 데이터를 수집하고 처리합니다. 여기에는 이름, 연락처 정보, 수하물 정보, API 데이터, 결제 정보, 여행 일정 정보 및 예약 변경 내역 등이 포함됩니다. 사용 가능한 데이터 항목에 대한 자세한 목록은 PNR 지침(EU) 2016/681의 부속서 I에서 확인할 수 있습니다.

SSR 데이터: 동 보조 기기와 관련된 건강 정보나 기내 식사 제공 시 필요한 종교 관련 정보 등 특별 서비스 요청 정보를 말합니다. 

의료 데이터: 의료 허가가 필요한 승객의 개인정보 처리에 관한 정보와 당사의 진단서 양식을 말하며, 이는 여기( lh_medif_EN.pdf)에서 확인할 수 있습니다.

콘텐츠 데이터: 문의 양식, 고객 서비스, 뉴스레터 이용 또는 이벤트나 설문조사 참여 등 당사 웹사이트나 앱에서 서비스를 이용하는 경우, 고객이 입력한 콘텐츠 데이터, 고객과 관련하여 수집된 콘텐츠 데이터 및 당사가 제공한 정보가 처리됩니다.

쿠키 데이터: 고객이 웹사이트 또는 앱을 방문하는 동안 당사가 사용하는 쿠키를 통해 수집한 데이터입니다.

로그인 데이터: 당사 웹사이트 또는 앱의 일부 서비스(예: TravelID, 이메일 뉴스레터)를 이용하려면 회원 가입이 필요합니다. 이를 위해 일부 정보(예: 이메일 주소)는 필수 입력 사항이며, 다른 정보(예: 성별, 이름)는 선택적으로 입력할 수 있습니다. 회원 가입 과정에서 당사는 고객의 IP 주소와 가입 시간도 수집합니다.

서버 로그 데이터: 당사 웹사이트를 이용하는 경우 방문 날짜 및 시간, 접속한 페이지 및 요청한 파일, 사용 중인 웹 브라우저의 유형 및 버전, 사용 기기의 유형 및 운영 체제, IP 주소 등의 데이터가 당사 서버의 로그 파일에 일시적으로 저장됩니다. 당사 앱을 통해 서비스를 이용하는 경우, 앱 이용 관련 정보와 함께 모바일 기기의 유형 및 운영 체제와 IP 주소가 저장됩니다.

당사는 일반적으로 고객이 예약하거나 웹사이트 또는 앱을 이용하거나, 문의하거나, 서비스를 이용하는 경우와 같이 고객으로부터 직접 이러한 개인정보를 제공받습니다. 또한 고객이 사용하는 기기 또는 당사 웹사이트, 앱 및 기타 서비스 이용 과정에서 개인정보를 자동으로 수집할 수 있습니다. 아울러 필요한 경우 및 관련 법률에서 허용하는 범위 내에서 다음과 같은 출처로부터 개인정보를 제공받을 수 있습니다.

• 루프트한자 그룹의 다른 회사 및 고객이 예약한 서비스 제공에 관여하는 회사(예: 여행 서비스 제공업체, 결제 서비스 제공업체),
• 가족, 법정 대리인 또는 여행사 등 고객을 대신하여 업무를 수행하는 자, 그리고
• 공식 또는 법적 절차와 관련된 공공 기관, 법원 및 기타 당사자.

가족이나 동반 여행객 등 다른 사람의 개인정보를 당사에 제공하는 경우, 해당 정보를 제공할 권한이 있는지 확인하고 해당 정보 주체에게 본 개인정보 보호정책에 대해 안내해 주시기 바랍니다.

당사를 통해 항공편 및/또는 항공편 관련 부가 서비스(좌석 예약, 수하물 또는 동물 운송, 라운지 서비스 등)를 예약하는 경우, 당사는 항공권 또는 예약한 항공편 관련 서비스의 예약 확인서를 발급하기 위해 고객의 예약 데이터를 처리합니다. 항공편 또는 항공편 관련 부가 서비스를 변경하거나 취소하는 경우, 당사는 이에 따라 고객의 예약 데이터를 처리합니다.

개인정보 처리의 법적 근거는 항공편 운항 또는 항공편 관련 서비스 제공을 위한 고객과 계약 체결 및 이행이며, GDPR 제6조 제1항 (b)호에 따릅니다.

항공편 관련 부가 서비스를 예약할 때 특별 범주의 개인정보를 처리해야 하는 경우(예: 이동 보조 서비스 예약 시 건강 정보 또는 기내식 예약 시 종교에 관한 정보), 해당 개인정보는 고객의 명시적인 동의에 근거하여 처리됩니다(GDPR 제6조 제1항 (a)호). 관련 특별 범주의 개인정보 처리는 GDPR 제9조 제2항 (a)호에 규정된 예외에 따라서도 허용됩니다.

경우에 따라 당사는 장애가 있거나 거동이 불편한 승객의 운송을 보장하기 위해 필요한 데이터를 처리할 법적 및 계약상 의무가 있습니다(규정(EC) 제1107/2006호, GDPR 제6조 제1항 (b)호 및 (c)호, 제9조 제2항 (g)호).

해당 데이터는 계약 이행(고객 서비스 및 소멸시효 만료 전 발생할 수 있는 법적 청구권 행사 포함)을 위해 더 이상 필요하지 않은 경우 삭제됩니다. 단, 상법 또는 세법에 따른 보존 의무 등 법률에 따라 해당 데이터를 보관해야 하는 경우는 제외됩니다.

항공편 예약 시 당사의 상용고객 프로그램인 Miles & More를 통해 마일리지를 적립하려는 경우, 당사는 Miles & More 카드 번호를 포함한 고객의 예약 데이터를 Miles & More GmbH에 제공합니다(제5.2항 참조). 데이터 처리의 법적 근거는 계약 이행입니다(GDPR 제6조 제1항 (b)호).

예약한 항공편을 운항하고 기타 항공편 관련 서비스를 제공하기 위해 당사는 이미 수집한 예약 데이터와 체크인 데이터를 처리합니다. 또한 탑승구 변경이나 입국/수하물 관련 안내 등 항공편과 관련된 알림도 제공합니다. 지연이나 결항 등의 비정상 운항으로 인해 여행에 차질이 발생하는 경우, 해당 상황에 대한 정보와 함께 항공 승객 권리 규정(EU 261/2004)에 따른 보상 및 지원을 위한 조치 방안을 안내해 드립니다. 필요한 경우, 당사는 항공편 운항과 관련하여 국내외 법률 및 협정에 따라 테러 범죄 및 중대 범죄의 예방, 탐지, 수사 및 기소와 불법 이민 방지를 목적으로 귀하의 API 데이터 또는 PNR 데이터를 독일 및 해외의 관련 당국에 제공합니다.

개인정보 처리의 법적 근거는 항공편 운항 또는 항공편 관련 서비스 제공을 위한 고객과 계약 체결 및 이행이며, GDPR 제6조 제1항 (b)호에 따릅니다. API 및 PNR 데이터 제공과 관련하여, 경우에 따라 그 법적 근거는 법적 의무입니다(GDPR 제6조 제1항 (c)호 및 당사에 법적 의무를 부과하는 관련 국내외 법률 또는 협정). 예를 들어 특정한 경우, 당사는 독일 연방경찰법(“BPolG”) 제31항에 따라 고객의 API 데이터를, 승객예약정보법(“FlugDaG”) 제2항에 따라 고객의 PNR 데이터를 독일의 관할 당국에 제공해야 합니다. 또한 2014년 9월 26일자 법령 제2014-1095호 및 2018년 8월 3일자 법령 제2018-714호와 연계된 프랑스 국내보안법(Code de la Sécurité Intérieure) 제L. 232-7조에 따라 프랑스의 관할 당국에 해당 데이터를 제공해야 하며, 해당되는 경우 기존 PNR 협정(미국, 캐나다, 영국)에 근거하여 해당 국가로 향하는 항공편을 운항하기 전에 제3국의 당국에도 이를 제공해야 합니다. 제3국은 유럽경제지역(EEA) 외 국가를 의미합니다.

또한 비상 상황 발생 시 연락할 사람의 연락처 정보(비상 연락처)를 저장할 수 있으며, 연락처 정보는 정보 주체의 동의에 근거하여 처리됩니다(GDPR 제6조 제1항 (a)호). 이와 관련하여 연락처 정보를 제공할 때 고객은 해당 정보 주체의 동의를 받았음을 확인해야 합니다.

항공편 관련 서비스를 제공하는 과정에서 특별 범주의 개인정보(예: SSR 데이터)를 처리해야 하는 경우, 해당 데이터 처리의 법적 근거는 GDPR 제9조 제2항 (a)호에 따른 고객의 동의입니다.

이 데이터는 특정 예약과 관련된 법적 청구를 법원에 제기할 수 있는 기간 동안 보관되며, 해당 기간이 만료되거나, 통상적인 보관 기간을 초과하여 진행 중인 법적 절차가 종결되는 경우 해당 데이터는 삭제됩니다. 고객이 제공한 동의를 철회하는 경우, 상법 또는 세법에 따른 보관 의무 등 법률에 따라 해당 데이터를 보관할 의무가 있거나 보관할 권한이 있는 경우를 제외하고 고객의 데이터는 삭제됩니다.

당사는 안전 및 보안을 위해 개인정보를 처리합니다. 

예를 들어, 범죄 행위를 탐지하고 수사하기 위해 특정 시설에서 영상 감시를 실시합니다. 또한 관련 항공 보안 요건에 따라 조종실 출입문 바로 앞 구역도 모니터링합니다.

“기내 난동 승객”은 부적절하거나 공격적 또는 폭력적인 행동, 지시 불이행, 위협 또는 기타 부적절한 행위로 항공편, 승무원, 다른 승객 또는 제3자의 안전이나 보안을 위협하거나 저해하는 승객을 말합니다.

당사는 관련 사건을 승객 소란 보고서(“PDR”)에 기록합니다. 소란 또는 부적절한 행위의 성격과 심각성에 따라 PDR에는 사건의 세부 내용과 필요한 경우 승객의 신원 확인을 위한 여행 서류 정보가 포함될 수 있습니다. 당사는 사건을 기록, 평가 및 예방하고, 항공편과 승무원 및 승객의 안전과 보안을 보호하며, 당사의 권리를 보호하기 위해 이러한 정보를 사용할 수 있습니다.

당사는 관련 정보를 경찰 및 기타 관계 당국에 제공할 수 있으며, 심각한 경우 운송을 거부하거나 해당 승객의 당사 항공편 이용을 금지(탑승 금지)하거나 이전에 발생한 사건에 대해 승무원에게 알릴 수 있습니다. 필요한 경우 관련 법률에서 허용하는 범위 내에서, 당사는 사기 및 기내 난동 승객과 관련된 사건을 기록, 분석 및 예방하기 위해 루프트한자 그룹 내 회사 및 다른 항공사와 관련 정보를 공유할 수 있으며, 피해, 부상 또는 범죄 행위와 관련된 정보를 관계 당국 및 보험회사에 제공할 수 있습니다.

이러한 처리는 안전과 보안을 보장하기 위한 당사의 정당한 이익에 근거합니다(GDPR 제6조 제1항 (f)호).

문의 양식, 이메일, 채팅 또는 고객 서비스 전화를 통해 문의하는 경우, 당사는 문의에 답변하기 위해 고객의 콘텐츠 데이터를 처리하며, 해당되는 경우 문의 양식의 오용을 방지하기 위해 IP 주소와 문의 날짜 및 시간도 처리합니다. 고객이 명시적으로 동의한 경우, 당사는 품질 보증 및 교육을 목적으로 귀하와의 통화 내용을 녹음할 수 있습니다. 고객이 웹사이트 또는 앱에서 발생할 수 있는 오류를 당사에 알리는 경우, 당사는 고객이 입력한 데이터와 해당되는 경우 고객의 기기 데이터를 이용하여 신고된 오류를 분석하고 해결합니다.

개인정보 처리의 법적 근거는 GDPR 제6조 제1항 (f)호입니다. 이러한 데이터 처리에 대한 당사와 고객의 정당한 이익은 고객의 문의에 답변하고 발생할 수 있는 문제를 해결함으로써 당사 웹사이트 또는 앱의 고객이나 사용자로서 고객의 만족도를 유지하고 향상시키는 데 있습니다. 고객의 요청이 계약의 체결 또는 이행을 목적으로 하는 경우, 개인정보 처리의 추가적인 법적 근거는 GDPR 제6조 제1항 (b)호입니다. 개인정보 보호 관련 요청을 처리하는 데 적용되는 법적 근거는 GDPR 제6조 제1항 (c)호이며, 이는 법적 의무를 준수하기 위해 필요한 처리이기 때문입니다. 전화 통화 녹음의 법적 근거는 고객의 동의이며, GDPR 제6조 제1항 (a)호에 따릅니다.

개인정보 처리가 우선하는 정당한 이익(GDPR 제6조 제1항 (f)호)을 법적 근거로 하는 경우, 고객은 개인정보 처리에 이의를 제기할 수 있습니다(아래 제7항 참조). 고객의 이익, 권리 및 자유에 우선하는 중대한 정당한 사유가 있음을 당사가 입증할 수 있거나 법적 청구권의 성립, 행사 또는 방어를 위해 처리가 필요한 경우, 당사는 고객의 개인정보 처리를 계속할 수 있습니다.

해당 데이터는 귀하와의 소통이 종료된 경우, 즉 관련 사안이 최종적으로 해결되고 해당 데이터를 계속 보관할 정당한 이익이나 추가적인 법적 보관 의무가 없는 경우 삭제됩니다. 챗봇과의 대화 내용은 30일 동안 보관됩니다. 직원과 소통한 경우, 해당 데이터는 90일 동안 또는 관련 사안이 최종적으로 해결될 때까지 보관됩니다.

당사는 마케팅 알림을 보내기 위해 고객의 데이터를 처리합니다.

예를 들어 당사 웹사이트에서 Travel ID 없이도 당사 상품 및 서비스에 대한 정보를 수신할 수 있습니다. 뉴스레터 외에도 최저가 알림을 구독하여 개별 항공 노선의 최저가 정보를 받아볼 수 있습니다. 또한 원하는 경우 아직 완료하지 않은 항공편 예약에 관한 알림 등 기타 마케팅 알림을 받아볼 수 있습니다.

이메일 광고 구독은 구독을 확인한 후부터 효력이 발생합니다. 이를 위해 뉴스레터 신청 시 당사가 발송하는 확인 이메일에 포함된 링크를 클릭해야 합니다. 

연락처 데이터 처리에 대한 법적 근거는 고객의 동의입니다(GDPR 제6조 제1항 (a)호). 고객은 언제든지 당사의 프로모션 알림 수신에 대한 동의를 철회할 수 있습니다.

마케팅 알림 수신에 대한 별도의 동의 없이 당사는 이미 당사를 통해 예약한 고객에게 당사의 유사한 상품 및 서비스에 관한 정보를 이메일로 개별적으로 안내할 수 있습니다. 다만, (a) 당사가 상품 또는 서비스 판매와 관련하여 고객으로부터 이메일 주소를 제공받았고, (b) 해당 이메일 주소를 당사의 유사한 상품 또는 서비스에 대한 직접 마케팅에 사용하며, (c) 고객이 이러한 정보의 수신을 거부하지 않은 경우에 한하여 해당 정보를 전송합니다.

개인정보 처리의 법적 근거는 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

고객은 언제든지 마케팅 및 제품 개발을 목적으로 하는 개인정보 처리의 전부 또는 일부에 대해 이의를 제기하거나, 기존에 제공한 동의를 철회할 수 있습니다.

이의를 제기하는 방법은 다음과 같습니다.

• 이메일 알림의 경우, 각 이메일에 제공된 수신 거부 링크를 이용할 수 있습니다. 
• 또는 당사 웹사이트 및 앱의 문의 양식을 통해 메시지(키워드: 정보 보호)를 보내거나, 위 제2항에 기재된 이메일 주소로 서면 또는 이메일을 통해 이의를 제기할 수 있습니다.

이의를 제기하거나 기존에 제공한 동의를 철회한 경우 고객의 데이터가 삭제되며, 그 외의 경우에는 당사가 해당 데이터의 이용을 중단한 후 즉시 삭제되거나 집계된 익명 형태로만 저장됩니다. 필요한 경우, 고객에게 더 이상 연락하지 않도록 귀하가 이의를 제기했다는 사실과 관련 연락처 정보를 보관합니다. 마케팅과 관련하여 이의를 제기하거나 동의를 철회하는 경우, 고객의 마케팅 수신 설정을 변경합니다. 마케팅에 대한 이의를 제기하더라도 고객의 예약 데이터 또는 Travel ID가 자동으로 삭제되지는 않습니다(GDPR 제6조 제1항 (b)호).

당사는 서비스 및 상품을 최적화하기 위해 고객의 데이터를 처리합니다. 

예를 들어, 서비스, 혜택 및 사용 중인 AI 도구(예: 채팅 도우미)의 지속적인 개발 및 최적화와 내부 통계 작성을 위해 고객의 예약 데이터(여기에 포함될 수 있는 민감한 데이터는 제외)와 고객과 소통하는 과정에서 수집한 콘텐츠 데이터(제4.5항 참조)를 처리합니다. 이러한 처리는 특히 고객 서비스를 최적화하고, 문의를 효율적으로 처리하며, 당사 및 당사가 제공하는 다양한 서비스에 대한 고객 경험을 개선하기 위해 이루어집니다.

이러한 처리의 법적 근거는 당사의 서비스 및 혜택을 지속적으로 개발하고 최적화하며 내부 통계를 작성하고자 하는 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 고객은 지속적인 개발 및 최적화를 위한 처리에 언제든지 이의를 제기할 수 있습니다(아래 제7항 참조).

당사는 일반적으로 이러한 목적을 위해 고객의 데이터를 익명화된 형태로 처리하며, 2년 후 삭제합니다. 예를 들어 서비스 제공 과정에서 발생한 문제 등으로 인해 법적 보존 의무(예: 독일 조세기본법 제147항, 독일 상법 제257항)를 준수하기 위해 고객의 데이터를 보관해야 하는 경우, 당사는 관련 데이터를 최대 10년간 보관합니다.

당사의 채팅 도우미 또는 고객 서비스 채널을 이용하는 과정에서 수집된 개인정보는 당사가 사용하는 AI 도구를 지속적으로 개발하고 개선하기 위한 목적으로만 익명화 및 집계된 형태로 사용될 수 있습니다. 고객을 직접 식별할 수 있는 개인정보 및 GDPR 제9조에 따른 특별 범주의 개인정보(특별 서비스 요청의 일환으로 제공된 건강 또는 이동 관련 정보 포함)는 AI 모델의 학습 또는 미세 조정에 사용되지 않습니다.

당사는 서비스, 상품 및 고객 경험에 대한 의견을 수렴하고 이를 개선하기 위해 고객에게 고객 패널, 시장 조사 활동 또는 고객 만족도 설문조사에 참여하도록 요청할 수 있으며, 참여는 자발적입니다. 당사는 이와 관련하여 고객이 제공하는 개인정보(귀하의 응답 및 관련 연락처 정보 또는 참여 정보 포함)를 처리합니다. 처리는 고객의 동의(GDPR 제6조 제1항 (a)호)에 근거하며, 고객은 언제든지 동의를 철회할 수 있으며, 이는 나중에 효력이 발생합니다.

예약 절차의 보안을 강화하고 최적화하는 한편, 사기를 방지하고 결제 불이행 위험을 줄이기 위해 예약 과정에서 특히 귀하의 결제 정보, 성명 및 주소를 처리하며, 해당되는 경우 보상금 또는 환불금 지급 과정에서도 이러한 정보를 처리하여 위험이나 이상 징후가 있는지 확인합니다. 또한 주문이 취소되는 경우, 주문 취소 시점까지 생성된 데이터는 주문 절차의 기술적 최적화, 사기 패턴 탐지 및 주문 절차에 관한 고객 문의에 대응하기 위해 저장됩니다.

본 조항에 명시된 데이터 처리의 법적 근거는 GDPR 제6조 제1항 (b)호 및 (f)호입니다. 정당한 이익은 고객의 신원을 보호하고, 결제 불이행 위험을 최소화하며, 사기 시도를 방지할 필요성에 근거합니다.

이 데이터는 명시된 목적을 달성하는 데 필요한 기간 동안에만 보관됩니다. 의심스러운 예약 거래가 탐지되어 사기 관리 시스템에서 데이터가 처리되는 경우, 해당 데이터의 보관 기간은 관련 데이터가 기록된 날로부터 3년입니다. 법적 보존 의무가 적용되는 경우 또는 법적 청구권의 주장, 행사 또는 방어를 위해 추가 보관이 필요한 경우에 한하여 해당 기간 동안 데이터를 더 오래 보관합니다.

당사는 법적 청구권을 행사하고 법적 지위를 방어하기 위해 개별 사안에서 청구권의 행사 또는 방어에 필요한 개인정보를 처리합니다. 여기에는 예약 데이터 등이 포함될 수 있습니다. 

이러한 처리의 법적 근거는 법적 청구권을 행사하고 당사의 법적 지위를 방어하기 위한 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

이에 필요한 데이터는 법적 분쟁이 종결되거나 법적 보존 기간이 만료된 후 삭제됩니다.

서버 로그 데이터는 웹사이트 또는 앱을 기술적으로 제공하고, 시스템 보안 및 기술 인프라를 보호하며, 당사 웹사이트 또는 앱에 대한 악의적인 접근을 탐지하기 위해 처리됩니다.

이러한 처리의 법적 근거는 당사의 서비스를 포함한 웹사이트/앱을 제공하고 기술 인프라를 보호하기 위한 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 이러한 처리는 당사 웹사이트 및 앱 이용에 반드시 필요하며,

이 데이터는 귀하의 세션 종료 후 늦어도 180일 이내에 삭제됩니다.

위에서 설명한 데이터 처리 및 각각의 법적 근거에 따라 귀하의 데이터는 다음 범주의 수신자에게 제공될 수 있습니다.

경우에 따라 당사는 법적 요건을 준수하여 위탁처리 방식으로 서비스 제공업체를 이용합니다. 즉, 서비스 제공업체는 계약에 따라 당사를 대신하여 당사의 지시 및 관리·감독하에 데이터를 처리합니다.

처리자에 해당하는 범주는 다음과 같습니다.

• 대행업체(예: 지상조업 서비스 공급자, 청구 처리 업체 및 이와 관련된 기타 부가 서비스 공급자),
• 고객 서비스 센터(콜 센터, 우편 서비스, 채팅 제공업체),
• 기타 서비스 공급자(예: 웹사이트 운영, 뉴스레터 발송, 의견 처리, 국제 항공 통계 작성 등),
• 클라우드 서비스 공급자 및 호스팅 제공업체(데이터 저장 및 인프라용),
• IT 시스템 운영 및 유지보수 서비스 공급자,
• 당사의 웹사이트 및 앱과 관련 기능을 제공하기 위해 당사가 이용하는 기술 서비스 공급자(예: 기술적으로 필수적인 쿠키 등),
• 이메일 발송 및 분석 쿠키 서비스 제공업체 등 실제 광고 및 마케팅을 수행하는 서비스 공급자.

이러한 경우에도 데이터 처리에 대한 책임은 당사에 있으며, 당사의 처리자에 대한 개인정보 제공 및 처리자에 의한 개인정보 처리는 각 경우에 당사가 해당 데이터를 처리할 수 있도록 허용하는 법적 근거에 따라 이루어지며, 별도의 법적 근거는 필요하지 않습니다.

고객 데이터 중 일부는 루프트한자 그룹의 다른 회사들로도 전송됩니다. 이 경우 당사는 GDPR 제26조에 따라 해당 특정 데이터의 처리와 관련하여 관련 항공사와 공동 데이터 컨트롤러가 될 수 있습니다.

각각의 경우, 수신자는 Air Dolomiti S.p.A Linee Aeree Regionali Europee(이탈리아 Dossobuono di Villafranca (VR), Via Paolo Bembo 70), Austrian Airlines AG(오스트리아 1300 Vienna Airport, Office Park 2, Postbox 100), Brussels Airlines NV/SA(벨기에 1831 Machelen, Kompaslaan 26), Edelweiss Air AG(스위스 8058 Zurich Airport, The Circle 32), Eurowings GmbH(독일 51147 Cologne, Waldstraße 249), EW Discover GmbH(독일 60549 Frankfurt a.M., Hugo-Eckener-Ring 1, FAC Building), Italia Trasporto Aereo S.p.A.(이탈리아 00187 Rome, Via Venti Settembre 97), Lufthansa CityLine GmbH(독일 85356 Munich, Munich Airport, FOC, Südallee 15), Lufthansa City Airlines GmbH(독일 85356 Munich, Munich Airport, FOC, Südallee 15) 및 Swiss International Air Lines AG(스위스 8302 Kloten, Obstgartenstrasse 25)이며, 이하 통칭하여 “루프트한자 그룹 항공사”라 합니다.

또한 당사는 고객의 데이터를 Miles & More GmbH(위 제4.3항 참조)와 같은 기타 그룹사 및 고객에게 서비스를 제공하는 데 관여하는 기타 그룹사에 제공할 수 있습니다.

예를 들어, 예약한 항공편의 운항에 필요한 경우 고객의 데이터는 루프트한자 그룹 항공사에 제공됩니다. 고객이 당사를 통해 예약한 항공편을 루프트한자 그룹의 다른 항공사가 운항하는 경우, 당사는 고객과 계약을 이행하기 위해 고객의 데이터를 해당 항공사에 제공합니다(GDPR 제6조 제1항 (b)호). 또한 당사는 정당한 이익을 근거로 탑승 금지 대상자에 관한 정보를 공유합니다(GDPR 제6조 제1항 (f)호).

당사는 서비스 및 혜택을 지속적으로 개발하고 최적화하기 위한 목적으로(위 제4.7항 참조) 귀하의 데이터를 루프트한자 그룹 항공사에 제공할 수 있습니다. 이러한 정보 제공의 법적 근거는 향후 고객 및 다른 고객을 위한 서비스를 개선하고 각 항공사의 혜택을 고객의 요구에 맞게 조정하려는 관련 항공사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

공동 컨트롤러는 GDPR 제26조에 따라 본 규정에 따른 의무 준수에 대한 각자의 책임을 정하는 약정을 체결했습니다. 해당 약정의 주요 내용은 다음과 같습니다. 루프트한자 독일 항공은 공동으로 처리되는 데이터와 관련하여 발생하는 정보 주체의 권리 행사를 위한 주된 연락 창구 역할을 하며, 다른 루프트한자 그룹 항공사에 제출된 요청은 부당한 지체 없이 해당 담당 법인으로 전달됩니다. 해당 약정의 전문은 위 제2항에 명시된 정보 보호 책임자에게 문의하여 요청할 수 있습니다. 다만, 본 개인정보 보호정책 제7항에 따른 고객의 권리는 관련된 모든 그룹사에 행사할 수 있습니다.

또한 당사는 독립적인 컨트롤러로서 서비스를 제공하는 파트너 등 제3자에게도 고객의 데이터를 제공하며,

구체적인 제휴사는 다음과 같습니다.

• 운송의 일부를 담당하는 기타 항공사, 철도 제휴사 및 지상 운송 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호)
• 당사와 협력하며 고객이 루프트한자를 통해 항공편을 예약할 때 결제를 처리할 수 있도록 지원하는 결제 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호),
• 고객이 예약에 따라 이용할 수 있는 라운지 제공업체(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호),
• 기내 엔터테인먼트 포털을 운영하고 FlyNet 등 인터넷 및 엔터테인먼트 콘텐츠에 대한 액세스를 제공하는 통신 서비스 제공업체(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호),
• 예약 절차의 보안을 강화하고 최적화하며, 사기를 방지하고, 의심스러운 활동을 탐지하고, 결제 불이행 위험을 줄이는 데 필요한 관련 예약, 결제, 연락처 및 기술 데이터를 처리하기 위해 당사와 협력하는 은행, 결제 서비스 제공업체 및 채권 추심 업체(데이터 제공의 법적 근거: GDPR 제6조 제1항 (f)호),
• 출입국 요건 또는 경찰 활동 및 수사 등에 따라 데이터를 제공받는 국가기관 및 공공 기관(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호 또는 (c)호),
• 서비스에 차질이 발생한 경우 이용하는 호텔 등의 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (f)호).

경우에 따라 당사는 GDPR이 직접 적용되지 않는 제3국에 소재한 수신자에게 개인정보를 이전합니다(위 제4.4항 참조). EU 집행위원회가 해당 국가가 개인정보에 대해 적정한 수준의 법적 보호를 제공한다고 결정하지 않은 경우, 당사는 고객의 개인정보를 보호하기 위한 충분한 보호 조치를 마련하거나 법률에 규정된 예외 사유 중 하나가 적용되는지 확인해야 합니다.

당사는 GDPR 제46조 제2항 (c)호에 따라 적정한 수준의 보호를 제공하는 것으로 인정되지 않은 제3국의 수신자와 거래할 때 EU 집행위원회가 채택한 EU 표준계약조항을 정기적으로 사용합니다. 그럼에도 일부 제3국에서는 관련 요건이 명확하게 규정되어 있지 않거나 적절한 법적 구제수단이 마련되어 있지 않은 상황에서 국가 기관이 통제 및 감독 목적으로 수신자에게 고객의 데이터를 요구할 위험이 있습니다. 유럽 법원의 판례에 비추어 이러한 위험이 허용하기 어려운 수준으로 판단되는 경우(예: 미국과 관련된 일부 상황), 당사는 가능한 범위 내에서 추가적인 보호조치 및 약정을 마련합니다. 이러한 제3국으로의 데이터 이전에 관한 자세한 정보, 특히 표준계약조항의 사본을 원하시는 경우 제2항에 명시된 연락처로 문의하시기 바랍니다.

경우에 따라 당사는 GDPR 제49조 제1항에 근거하여 고객의 데이터를 이전하기도 합니다. 예를 들어, 당사의 파트너사가 당사 웹사이트에서 쿠키 또는 이와 유사한 기술을 사용하는 경우와 같이, GDPR 제49조 제1항 제1문 (a)호에 따라 안전하지 않은 제3국의 수신자에게 데이터를 이전하는 것에 대한 귀하의 명시적인 동의가 이에 해당할 수 있습니다. 고객이 동의하기 전에, 해당 제3국에는 적정한 수준의 개인정보 보호 및 적절한 보호조치가 마련되어 있지 않으므로 이러한 데이터 이전으로 인해 고객에게 발생할 수 있는 위험을 명확하게 안내합니다. 고객이 동의하는 경우, 특히 외국 당국이 고객의 데이터에 접근하는 것을 비롯하여 위에서 설명한 위험이 별도의 추가 보장이나 보호조치 없이 발생할 수 있음을 수락하는 것으로 간주됩니다. 그 밖의 경우, 당사는 고객이 루프트한자를 통해 예약한 항공편을 제공하기 위해 GDPR 제49조 제1항 제1문 (b)호에 근거하여 제3국의 당국에 고객의 개인정보를 이전할 수 있습니다.

자동화된 의사결정(프로파일링 포함)이란 사람의 개입이나 내용에 대한 평가 없이 자동으로 의사결정이 이루어지는 데이터 처리 활동을 의미합니다.

당사는 GDPR 제22조에 따라 고객에게 법적 효력을 미치거나 이와 유사하게 고객에게 중대한 영향을 미치는 전적으로 자동화된 의사결정을 사용하지 않습니다. 이전하기도 합니다. 향후 이러한 시스템을 사용하는 경우 당사는 법적 의무에 따라 고객에게 이를 통지합니다.

당사가 개인정보를 처리할 때 정보 주체는 다음과 같은 권리를 갖습니다.

열람권(GDPR 제15조): 당사가 고객의 개인정보를 처리하고 있는지 여부에 대해 당사로부터 확인을 받을 권리가 있습니다. 당사가 개인정보를 처리하는 경우, 정보 주체는 해당 데이터뿐만 아니라 처리 목적, 데이터 범주, 데이터 수신자, 보관 기간, 데이터 출처, 귀하의 권리에 관한 정보 및 프로파일링을 포함한 자동화된 의사결정의 존재 여부에 관한 정보를 제공받을 권리가 있습니다.

정정권(GDPR 제16조): 개인정보가 부정확하거나 불완전한 경우 당사에 정정을 요청할 권리가 있습니다. 

삭제권(GDPR 제17조): 고객은 개인정보 삭제를 요청할 권리가 있습니다. 이는 잊혀질 권리로도 알려져 있습니다. 모든 개인정보의 삭제를 일률적으로 요구할 수 있는 권리가 있는 것은 아닙니다. 예를 들어, 당사는 법률에 따라 특정 개인정보를 계속 처리해야 할 의무가 있을 수 있으며, 법적 청구가 제기되는 경우 당사의 이익을 방어하기 위해 해당 개인정보를 처리해야 할 수도 있습니다.

처리 제한 권리(GDPR 제18조): 정보 주체는 개인정보 처리 제한을 요청할 권리가 있습니다. 처리가 제한되는 경우 해당 데이터는 차단됩니다. 

데이터 이동권(GDPR 제20조): 처리가 고객의 동의를 근거로 하거나 계약 이행을 위해 개인정보를 자동화된 방식으로 처리해야 하는 경우, 고객은 당사에 제공한 개인정보를 구조화되고 일반적으로 사용되며 기계 판독이 가능한 형식으로 제공받거나 해당 데이터를 다른 컨트롤러에게 이전할 권리가 있습니다.

동의 철회권(GDPR 제7조 제3항): 해당 동의 의사표시에 근거하여 개인정보 처리에 동의한 경우, 언제든지 동의를 철회할 수 있으며, 이는 향후 효력이 발생합니다. 동의 철회 이전에 해당 동의를 근거로 이루어진 데이터 처리의 적법성은 철회로 인해 영향을 받지 않습니다.

이의 제기권(GDPR 제21조): 당사가 정당한 이익을 보호하기 위해 고객의 데이터를 처리하는 경우, 고객은 자신의 특수한 상황으로 인해 당사의 데이터 처리에 반대할 사유가 있는 경우 언제든지 datenschutz@dlh.de로 해당 처리에 대해 이의를 제기할 수 있습니다. 고객은 별도의 사유를 제시하지 않고도 직접 마케팅을 목적으로 한 귀하의 개인정보 처리에 언제든지 이의를 제기할 권리가 있습니다. 이 경우 루프트한자 독일 항공이 정보 주체의 이익, 권리 및 자유보다 우선하는 중대한 정당한 처리 사유가 있음을 입증할 수 있거나, 해당 처리가 법적 청구권의 성립, 행사 또는 방어를 위한 경우를 제외하고 데이터 처리가 중단됩니다.

이러한 권리를 행사하려면 제1항 및 제2항에 명시된 연락처를 통해 당사 또는 당사의 정보 보호 책임자에게 문의하시기 바랍니다.

개인정보 처리와 관련하여 질문, 우려 사항 또는 불만 사항이 있는 경우, 먼저 datenschutz@dlh.de를 통해 당사의 정보 보호 책임자 및 담당 팀에 문의하시기 바랍니다.

이는 관할 개인정보 보호 감독기관에 불만을 제기할 수 있는 고객의 권리에 영향을 미치지 않습니다. 루프트한자 독일 항공의 관할 감독기관은 다음과 같습니다.

Hessische Beauftragte für Datenschutz & Informationsfreiheit (HBDI)
PO Box 3163
65021 Wiesbaden
전화: +49 611 1408-0
이메일: poststelle@datenschutz.hessen.de 

본 개인정보 보호정책은 당사의 데이터 처리 관행 또는 법적 요건의 변경 사항을 반영하기 위해 개정될 수 있으며, 최신 버전은 당사 웹사이트에서 언제든지 확인할 수 있습니다.